《中国工控信息安全技术标准体系.ppt》由会员分享，可在线阅读，更多相关《中国工控信息安全技术标准体系.ppt（30页珍藏版）》请在三一文库上搜索。
1、中国工控信息安全技术标准体系,梅恪 机械工业仪器仪表综合技术经济研究所（ITEI） 全国工业过程测量控制和自动化标准化技术委员会（SAC/TC124） 2014年9月,工控技术发展与信息安全势态 国际工控信息安全技术标准情况 国家工控信息安全技术标准情况 技术标准体系的构建 面临的问题 总结,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,2019/5/14,2019/5/14,技术发展需求,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,以智能制造为主导的第四次工业革命正在兴起,技术发展需求,工控系统的发展方向全球互联、嵌入式智能、自组织 传统系统封闭
2、式系统演变到开放式的网络系统 开放的硬件体系 开放的协议体系 过程控制和企业信息系统的集成 供给链集成 企业间协同 无线技术的广泛应用,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,2019/5/14,2019/5/14,安全势态,工控系统信息安全势态：,我国：2010年齐鲁石化、2011年大庆石化炼油厂，某装置控制系统分别感染Conficker蠕虫病毒，都造成控制系统服务器与控制器通讯不同程度地中断,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,企业分层模型,以MES制造执行系统层分界 向上为传统IT领域 向下为工控领域,传统信息系统：保密性完整性
3、可用性 仪控系统：可用性完整性保密性,IT系统与工控系统的需求比较,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,VDI/VDE,BSI Grundschutz,NIST,Roadmap to Secure Control Systems in the Energy Sector,IEC 62351,IEC TC 57 WG15,SAC TC 124,DKE,Committees Associations,Standards,Guidelines,DHS,ChemSec Roadmap,NERC-CIP,ISO/IEC 15408,WIB M-2784,ISO/IEC 2
4、700x,IEC 62443 / ISA-99,IACS IS,信息安全标准,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,IEC62443系列标准框架,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,10,2019/5/14,10,2019/5/14,10,IEC/TC65组织结构图,2019/5/14,全国工业过程测量和控制标准化技术委员会（SAC/TC124）,11,Systems,Devices,ISA Secure测试验证,12,嵌入式设备安全保证(EDSA),软件开发安全评
5、估(SDSA),功能性安全评估(FSA),通信健壮性测试(CRT),检测和避免系统设计错误 审核供应商的软件开发和维护程序 确保组织机构遵照稳定和安全的软件开发程序,检测执行错误 / 疏忽 按照目标安全等级的要求对组件的安全功能进行审核 确保产品能够达到安全功能要求,鉴别网络和设备缺陷 根据通信健壮性要求测试组件的通信健壮性 基于4层OSI参考模型进行缺陷测试,ISA Secure嵌入式设备测试,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,NIST: SP800-82工业控制系统信息安全指南 WIB M2784过程控制领域中对供应商的信息安全要求 ,其他国家及技术组织标
6、准,其他国家及技术组织标准,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,IEC/TC65发布65/569/DC，建立一个协调Safety和Security的特别工作组（AD-HOC Group），以提出建议和新项目提案 工作组的研究内容包括： 1、现有相关标准； 2、 Safety和Security的区别； 3、 Safety和Security的共性； 4、协调Safety和Security的限制； 5、可能的协调方法； 6、紧急情况下的权衡与取舍； 7、建议和新项目提案的范围。 现向各国征集意见并召集专家（截至9月5日） 第一次会议定于2014.10.28-29 德国
7、法兰克福,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,协调工作组,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,IECEE认证,IECEE - 工业自动化认证INDAT, 工业设备电气安全（物理安全） IEC 61010-2-201: 控制系统：例如, PLC, DCS, PAC IEC 61010-2-20a: 独立电源 IEC 61010-2-20b: 包含运动的执行器：例如，旋转，线性阀门 IEC 61010-2-20c: 不包含运动的执行器 IEC 61010-2-20d: 人机接口 功能安全 IEC 61508: 通用电气控制系统 IEC
8、 62061: 机械电气控制系统 IEC 61511: 过程电气控制系统 IEC 61131-6: 功能安全PLC 工业信息安全 ISA积极推进,工控系统信息安全,我国的标准工作组,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,机械工业仪器仪表综合技术经济研究所、中国电子技术标准化研究所、浙江大学、北京和利时系统工程有限公司、中国核电工程有限公司、中国电力科学研究院、清华大学、西南大学、重庆邮电大学、华中科技大学、上海自动化仪表股份有限公司、东土科技股份有限公司、西门子（中国）有限公司、施耐得电气（中国）有限公司、罗克韦尔自动化（中国）有限公司、中国仪器仪表学会、北京海泰
9、方圆科技有限公司、华北电力设计院工程有限公司、北京国电智深控制技术有限公司、中国科学院沈阳自动化研究所、横河电机（中国）有限公司北京研发中心、青岛多芬诺信息安全技术有限公司、北京力控华康科技有限公司、华为数字技术（都）有限公司、欧姆龙上海有限公司 R&D中心、北京四方继保自动化股份有限公司、中国电子产品可靠性与环境试验研究所信息安全研究中心、启明星辰、电子科技集团三十所,工控信息安全标准起草工作组成员单位,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,工作组成员,2019/5/14,已发布国家标准（2项）： GB/T 30976.1-2014 工控系统信息安全 第1部分：
10、评估规范 GB/T 30976.2-2014 工控系统信息安全 第2部分：验收规范 国家标准计划项目（6项）： 20120829-T-604 工业通信网络 网络和系统安全 第2-1部分（ 等同 IEC 62443-2-1：2010） （10月送审） 20130783-T-604 集散控制系统（DCS）安全防护标准（10月送审） 20130784-T-604 集散控制系统（DCS）安全管理标准（10月送审） 20130785-T-604 集散控制系统（DCS）安全评估标准（10月送审） 20130786-T-604 集散控制系统（DCS） 风险与脆弱性检测标准（10月送审） 20130787-T
11、-604 可编程逻辑控制器（PLC） 安全要求（10月送审） 行业标准计划项目（3项） JB/T 11960-2014 工业过程测量和控制安全 网络和系统安全IEC/TR62443-3：2008 JB/T 11962-2014 工业通信网络 网络和系统安全 第1-1部分：术语、概念和模型 IEC /TS62443-1-1：2009 JB/T 11962-2014 工业通信网络 网络和系统安全 第3-1部分：工业自动化和控制系统用安全技术IEC/TR62443-3-1：2009,机械工业仪器仪表综合技术经济研究所（ITEI）,我国标准研制进程,授权和认证技术 过滤/阻塞/访问控制技术 加密技术和
12、数据有效性确认 管理、审记、监控和检测工具,信息安全的标准要素,需求,技 术,管 理,信息安全管理体系 ISO2700x,对象,系统和设备,人员和机构,DCS、SCADA、FCS 等 IPC、PLC、交换设备、智能仪表等,资质、培训 等 评审、认可、制度等,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,管理等级 基于ISO27002的管理要求； 基于WIB； 三级划分； 系统能力等级 基于IEC62443-3-3技术要求； 四级划分； 信息安全等级 管理要求与技术要求加权； 四级划分。,信息安全等级,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,20
13、19/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,IACS安全周期V模型,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,PLC系统信息安全要求 定义了从现场设备层到运营管理层的信息安全要求。 主要描述风险内容、安全技术要求、安全管理要求、检测与验收等。 包括系统生命周期内的设计开发、安装、运行维护、退出使用等各阶段与系统相关的所有活动。,PLC系统信息安全要求,工业环境适应性要求 气候环境、电磁兼容、电气安全、机械适应性、外壳防护要求等,DCS系统信息安全要求,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,DCS系统信息安全要求,201
14、9/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,信息安全标准现状,通过11项国家/行业标准的制定，已经初步建立了系统级的安全要求标准体系： 顶层设计：建立了基于技术与管理方法的评估规范和验收规范； 系统设计：建立了DCS、现场总线、PLC系统安全设计规范； 产品设计：即将建立基于嵌入式系统的产品安全规范。,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,技术标准体系,工控信息安全标准化： 层域划分：将工控系统按功能划分层次，按工艺划分区域； 要求映射：将技术要求与管理要求映射到不同的层域； 定性定量：安全等级、量化风险评估结果等；,技术标准体系,2019/5/
15、14,机械工业仪器仪表综合技术经济研究所（ITEI）,标准体系： 领域：适应工控系统所有应用领域； 层次：现场设备层到MES层； 系统：产品全生命周期；,技术层面的问题 1、面向生产工艺的资产模型与安全决策； 2、探测与侦别异常信息的手段； 3、多维联动报警与故障恢复技术； 4、工业级边界防护设备； 5、工控软件的健壮性设计；,机械工业仪器仪表综合技术经济研究所（ITEI）,面临的问题,机械工业仪器仪表综合技术经济研究所（ITEI）,面临的问题,管理、运维层面的问题 1、安全防控意识应当加强； 2、工业现场实施安全防护是一项复杂的系统工程； 3、安全运维人员的技术素质要求很高；,工控信息安全是一项长期而艰巨的任务,机械工业仪器仪表综合技术经济研究所（ITEI）,总结,建立政策+管理+技术的模式； 有所为，有所不为； 工控、IT、等保各领域专家群策群力；,2019/5/14,2019/5/14,2019/5/14,机械工业仪器仪表综合技术经济研究所（ITEI）,谢 谢！,